Die Lage führen: ausrufen, priorisieren, berichten, beenden

Zwanzig Dienste gleichzeitig, dieselben vier Personen, eine Leitung und vier Fachbereiche mit höchster Dringlichkeit — das ist keine größere Störung, sondern eine andere Aufgabe, die überwiegend aus Entscheidungen und Kommunikation besteht. Dieses Modul zeigt, warum genau eine Person ausrufen darf, welche sieben Punkte eine Lagebeurteilung mindestens enthält, warum Dienste ohne eigene Dringlichkeit vorgezogen werden, warum „unverändert“ eine vollwertige Statusmeldung ist — und warum eine Lage ohne ausdrückliche Beendigung ausfranst statt zu enden.

Lehrtext · 11 Abschnitte · zuletzt geprüft: 2026-09-04

Wann aus einer Störung eine Lage wird

Alle bisherigen Module behandeln einen Dienst. Dieses behandelt den Fall, in dem zwanzig gleichzeitig betroffen sind, dieselben Menschen, Leitungen und Zielsysteme brauchen und niemand mehr den Überblick im Kopf hat. Das ist keine größere Störung, sondern eine andere Aufgabe: Sie besteht überwiegend aus Entscheidungen und Kommunikation, nicht aus Technik.

Der erste Unterschied ist eine ausdrückliche Handlung: Jemand erklärt die Lage zur Lage. Ohne diese Erklärung arbeiten alle weiter, als sei es eine Störung — mit den üblichen Zuständigkeiten, der üblichen Reihenfolge und den üblichen Kommunikationswegen. Genau das ist der Zustand, in dem große Ausfälle regelmäßig entgleisen.

Aktivierungskriterien — Vorab festgelegte, überprüfbare Bedingungen, bei deren Eintreten der Wiederanlaufplan in Kraft gesetzt wird. Sie ersetzen die Einschätzung im Moment durch eine Entscheidung, die in Ruhe getroffen wurde.

Warum Kriterien und nicht GefühlOhne Kriterien fällt die Entscheidung erfahrungsgemäß zu spät. Sie wirkt teuer — Ausrufen bedeutet Aufwand, Aufmerksamkeit und Erklärungsbedarf — und deshalb wartet man auf eine Bestätigung, die erst mit dem Schaden kommt. Kriterien, die vorher vereinbart wurden, nehmen diese Abwägung aus dem Moment heraus: Ist die Bedingung erfüllt, wird ausgerufen, und die Diskussion darüber findet hinterher statt.

Brauchbare Kriterien: Zahl der betroffenen Dienste der obersten Klasse; erwartete Ausfallzeit über einer festgelegten Schwelle; Ausfall eines Standorts oder einer Plattform; begründeter Verdacht auf einen Angriff.
Unbrauchbare Kriterien: „Wenn es schlimm ist.“ Eine Formulierung, die im Moment jeder anders auslegt und die deshalb regelmäßig zu spät greift.
Was das Ausrufen bewirkt: Andere Zuständigkeiten, andere Reihenfolge, andere Kommunikationswege — und die Erlaubnis, den Normalbetrieb liegen zu lassen.

Genau eine Person darf ausrufen

NIST SP 800-34 formuliert an dieser Stelle ungewöhnlich eindeutig, und der Satz widerspricht dem verbreiteten Reflex, solche Entscheidungen in ein Gremium zu geben.

Dort steht: Die benannte Stelle — typischerweise eine Führungskraft — hat die Befugnis, den Plan zu aktivieren; wer das ist, kann je nach Organisation variieren, muss aber im Plan eindeutig benannt sein. Und weiter: Nur eine einzige Person soll diese Befugnis haben, und eine Vertretung ist eindeutig zu benennen, die sie nötigenfalls übernimmt.

Warum nur eine: Eine geteilte Befugnis erzeugt im entscheidenden Moment die Frage, wer eigentlich entscheidet — und die Antwort darauf kostet die Zeit, um die es geht.
Warum mit Vertretung: Eine einzelne Person ist genau dann nicht erreichbar, wenn es zählt. Die Vertretung ist keine Aufweichung der Regel, sondern ihre Bedingung.
Was nicht dazugehört: Die fachliche Entscheidung über Datenverlust, die Reihenfolge der Wiederherstellung und die Freigabe zur Wiederverbindung — das sind eigene Entscheidungen mit eigenen Eigentümern.

Wichtig ist die Unterscheidung zwischen der Befugnis zum Ausrufen und der Führung der Lage danach. Die erste liegt bei einer Person, damit sie schnell fällt; die zweite kann bei jemand anderem liegen, der dafür ausgebildet ist. In kleinen Betrieben ist es dieselbe Person, und dann sollte wenigstens klar sein, dass es zwei verschiedene Rollen sind — sonst wird die Führung der Lage von Statusanfragen aufgefressen, die eigentlich an die Kommunikation gehören.

Die Lagebeurteilung hat sieben Punkte

Nach dem Ausrufen steht die Beurteilung, und auch dafür gibt es eine dokumentierte Mindestliste. Sie ist deshalb wertvoll, weil sie unter Druck die Punkte enthält, an die niemand von selbst denkt.

Ursache des Ausfalls oder der Störung.
Gefahr weiterer Störungen oder Schäden — ist der Vorgang abgeschlossen oder läuft er noch?
Zustand der physischen Infrastruktur: Gebäude, Strom, Telekommunikation, Klimatisierung.
Bestand und Funktionsfähigkeit der Systemtechnik: vollständig funktionsfähig, teilweise, gar nicht.
Art des Schadens an Technik oder Daten: Wasser, Feuer und Hitze, mechanisch, elektrisch.
Was ersetzt werden muss: Hardware, Software, Firmware, Zubehör.
Geschätzte Zeit bis zur Wiederherstellung des Normalbetriebs.

Der Punkt, der die Lage am stärksten verändertDer zweite. Ob der schädigende Vorgang beendet ist oder weiterläuft, entscheidet über alles Weitere — bei einem Wasserschaden ebenso wie bei einem Angriff. Eine Wiederherstellung, die in einen laufenden Vorgang hinein startet, ist verlorene Arbeit. Trotzdem wird dieser Punkt selten ausdrücklich beantwortet, weil er unangenehm ist: Die ehrliche Antwort lautet in den ersten Stunden oft „unbekannt“.

Der Plan ist möglicherweise nicht verfügbar

Ein Satz aus derselben Quelle verdient besondere Aufmerksamkeit, weil er eine Anforderung an Menschen stellt statt an Dokumente: Personen mit Aufgaben in der Lagebeurteilung sollen diese Abläufe verstehen und ausführen können, falls der Plan während der Situation nicht zugänglich ist.

Das ist die logische Fortsetzung dessen, was in den Modulen über Einrichtung und Orchestrierung schon galt: Alles, was zur Wiederherstellung gebraucht wird und nur in der geschädigten Umgebung liegt, ist im Ernstfall nicht verfügbar. Für den Plan bedeutet es zweierlei — er liegt zusätzlich außerhalb, und die Beteiligten haben ihn einmal in ruhiger Lage gelesen.

Wie der Plan dafür aussehen mussDer Leitfaden verlangt eine Form, die auch Personen trägt, die weder den Plan noch die Systeme kennen — klar, knapp, im Notfall umsetzbar, nach Möglichkeit als Prüflisten und Schritt-für-Schritt-Anweisungen. Das ist derselbe Maßstab wie beim Runbook, nur eine Ebene höher. Ein Krisenplan, den nur sein Autor benutzen kann, ist eine Selbstvergewisserung.

Drei Phasen, drei verschiedene Fragen

Der Ablauf einer großen Lage gliedert sich in drei Phasen, die jeweils eine andere Frage beantworten. Sie sauber zu trennen hilft, weil in jeder Phase andere Personen gebraucht werden und andere Fehler drohen.

Aktivierung und Benachrichtigung: Gilt der Plan? Wen erreichen wir? Was ist tatsächlich passiert? Endet mit einer belastbaren Lagebeurteilung.
Wiederherstellung: In welcher Reihenfolge kommt was zurück, mit welchen Mitteln, und wer eskaliert wann? Endet, wenn die Dienste laufen.
Wiederinbetriebnahme: Ist das Ergebnis geprüft, ist der Normalbetrieb wiederhergestellt, und wird der Plan wieder außer Kraft gesetzt? Endet mit einer ausdrücklichen Erklärung.

Die dritte Phase wird am häufigsten weggelassen, und ihr Fehlen ist teurer, als es aussieht. Ohne ausdrückliche Beendigung franst die Lage aus: Ein Teil des Teams arbeitet noch im Ausnahmezustand, ein anderer ist längst im Alltag, offene Punkte gehören niemandem, und die Nachbereitung findet nicht statt, weil unklar ist, wann sie beginnen sollte.

Wellen: die Reihenfolge kommt aus dem Inventar

Bei zwanzig betroffenen Diensten ist die Reihenfolge die eigentliche Entscheidung. Sie soll nicht im Ernstfall entstehen — sie ist das Ergebnis des dritten Schritts der Wirkungsanalyse aus dem ersten Modul: die Wiederherstellungsprioritäten, abgeleitet aus Kritikalität, Ausfallwirkung, tolerierbarer Ausfallzeit und Ressourcen.

Zwei Wellen statt zwanzig Einzelentscheidungen

Szenario

Nach dem Ausfall eines Rechenzentrums sind zwanzig Dienste betroffen. Verfügbar sind eine Leitung mit begrenztem Durchsatz, vier Personen und eine Ersatzumgebung mit Kapazität für etwa die Hälfte der Systeme. Vier Fachbereiche melden gleichzeitig höchste Dringlichkeit.

Anforderungen

Die Reihenfolge soll begründbar sein und nicht nach Lautstärke entstehen.
Die knappen Mittel sollen nicht auf alle Dienste gleichzeitig verteilt werden.

Schritte

Die vorbereitete Prioritätenliste aus dem Inventar heranziehen — Schutzklasse und bestätigte Ausfallgrenze je Dienst.
Die Abhängigkeitsketten darüberlegen: Dienste, an denen andere hängen, kommen vor den Diensten, die an ihnen hängen — unabhängig von ihrer eigenen Klasse.
Daraus eine erste Welle bilden, die in die verfügbare Kapazität passt, statt alle Dienste parallel zu beginnen.
Für die zweite Welle einen Zeitpunkt nennen, nicht nur eine Reihenfolge — Fachbereiche brauchen eine Aussage, mit der sie planen können.
Die Abweichungen von der vorbereiteten Liste ausdrücklich festhalten, mit Begründung und Uhrzeit.

Merksatz: Parallelität ist im Ernstfall die teuerste Wahl: Zwanzig gleichzeitig begonnene Wiederherstellungen konkurrieren um dieselbe Leitung und dieselben Personen und werden alle langsam. Zwei Wellen bringen die Hälfte früh vollständig zurück — und liefern nebenbei eine Aussage, mit der die zweite Hälfte planen kann.

Die Zeile, die im Ernstfall den größten Streit auslöstDienste, an denen andere hängen, kommen zuerst — auch wenn sie selbst in einer niedrigeren Schutzklasse stehen. Ein Namensdienst, ein Verzeichnisdienst, ein Lizenzserver: In der Klassenliste unauffällig, in der Kette unverzichtbar. Wer das nicht vorbereitet hat, führt diese Diskussion im Ernstfall gegen einen Fachbereich, dessen Dienst in Klasse A steht und der nicht versteht, warum ein „unwichtiges“ System vorgezogen wird. Die Antwort darauf ist die dokumentierte Abhängigkeitskette aus dem Inventarmodul — vorher aufgeschrieben, nicht im Moment behauptet.

Status: zwei Empfänger, zwei Inhalte

Der Leitfaden unterscheidet bei den Meldungen während der Wiederherstellung zwei Arten, die regelmäßig vermischt werden: die Eskalation von Problemen an die Leitung und die Statusinformation an Dienst-Eigentümer und Anwender. Sie haben verschiedene Empfänger, verschiedene Inhalte und verschiedene Auslöser.

Eskalation: Ausgelöst durch ein Hindernis, das die Lage nicht selbst lösen kann: fehlende Freigabe, fehlende Mittel, fehlende Person. Empfänger ist, wer es beseitigen kann.
Statusinformation: Ausgelöst durch den Takt, nicht durch ein Ereignis. Empfänger sind die, deren Arbeit stillsteht — sie brauchen keine Details, sondern eine Aussage, mit der sie planen können.
Der häufigste Fehler: Nur zu melden, wenn es etwas Neues gibt. Für die Statusinformation ist „unverändert, nächste Meldung um 14:00“ eine vollwertige Meldung — Stille wird als Chaos gelesen.

Eine brauchbare Statusmeldung passt in eine Zeile je Dienst und enthält vier Angaben: Dienst | Zustand | nächster Meilenstein | Zeitpunkt der nächsten Meldung. Was sie nicht enthält, ist ebenso wichtig: keine Vermutungen über Ursachen, keine Zusagen über Zeitpunkte, die niemand belegen kann, und keine Schuldzuweisungen — alle drei tauchen im Nachgang wieder auf, und zwar in schriftlicher Form.

Der Takt selbst ist eine Entscheidung, die früh fallen sollte. Stündlich ist für die meisten Lagen zu eng und erzeugt Meldungen ohne Inhalt; alle vier Stunden ist zu weit und lässt Raum für Gerüchte. Zwei Stunden ist ein brauchbarer Ausgangswert, mit der ausdrücklichen Regel, dass bei einer wesentlichen Änderung sofort gemeldet wird. Entscheidend ist weniger der gewählte Abstand als seine Verlässlichkeit: Ein angekündigter Zeitpunkt, der eingehalten wird, senkt die Zahl der Einzelanfragen drastisch — und diese Einzelanfragen sind es, die die Führung der Lage tatsächlich blockieren.

Kommunikationswege ohne die eigenen Systeme

Die Meldewege setzen im Alltag genau die Systeme voraus, die in der Lage ausgefallen sind. Der Leitfaden warnt ausdrücklich vor einem davon: Benachrichtigungen per E-Mail seien mit Vorsicht zu verwenden, weil sich Empfang und Bestätigung nicht sicherstellen lassen.

Kurzcheck

Der Alarmierungsweg für den Wiederanlauf besteht aus einer Verteilerliste im firmeneigenen Mailsystem und einer Chatgruppe im firmeneigenen Kollaborationsdienst. Beide laufen auf der ausgefallenen Plattform. Was ist die wirksamste Ergänzung?

Eine Telefonliste außerhalb der Umgebung, mit Rückbestätigung durch die Erreichten.
Eine zweite Verteilerliste im selben Mailsystem, mit privaten Adressen der Beteiligten.
Eine automatische Benachrichtigung, die bei Ausbleiben eines Herzschlagsignals auslöst.

Treffer. Richtig. Sie ist unabhängig von der Plattform, und die Rückbestätigung schließt die Lücke, die der Leitfaden bei E-Mail benennt: Ohne Bestätigung weiß niemand, ob die Meldung angekommen ist.

Derselbe Gedanke gilt für alles, was während der Lage gebraucht wird: die Kontaktliste, den Plan, die Zugangsdaten, das Entscheidungsprotokoll. Die Prüffrage lautet nicht „haben wir das?“, sondern „wo liegt es, und läuft dieser Ort noch, wenn unser Rechenzentrum es nicht tut?“

Schichtwechsel und Entscheidungsprotokoll

Eine große Lage dauert Tage, nicht Stunden. Damit wird die Übergabe zwischen Schichten zu einem eigenen Risiko: Was nicht schriftlich vorliegt, geht dabei verloren — und zwar bevorzugt die Begründungen, nicht die Fakten.

Ein Protokoll je Lage, nicht je Person. Ein gemeinsames Dokument, außerhalb der betroffenen Umgebung, das jeder ergänzt.
Entscheidungen mit Begründung. Eine Zeile im Format Uhrzeit | Entscheidung | Begründung | wer reicht — die Begründung ist der Teil, der bei der Übergabe fehlt und im Nachgang gebraucht wird.
Offene Punkte mit Eigentümer. Was niemandem gehört, wird beim Schichtwechsel unsichtbar.
Der Zustand je Dienst, in derselben Form wie die Statusmeldung — damit die Übergabe keine zweite Darstellung braucht.

Warum die Begründung wichtiger ist als die EntscheidungDie nachfolgende Schicht sieht den Zustand ohnehin. Was sie nicht sieht, ist, warum eine Möglichkeit verworfen wurde — und ohne diese Information probiert sie dieselbe Sackgasse ein zweites Mal aus. Das ist der teuerste wiederkehrende Verlust in langen Lagen und mit einer Zeile je Entscheidung vermeidbar.

Für die Übergabe selbst reicht eine feste Reihenfolge von vier Punkten: Zustand je Dienst, laufende Arbeiten mit den Personen daran, offene Entscheidungen mit ihren Eigentümern, und die verworfenen Wege mit ihrer Begründung. Fünfzehn Minuten mündlich, gestützt auf das schriftliche Protokoll — nicht umgekehrt. Eine Übergabe ohne schriftliche Grundlage dauert länger und verliert trotzdem mehr.

Beenden: die Wiederinbetriebnahme

Die dritte Phase besteht laut Leitfaden aus zwei Tätigkeiten: der Bestätigung der erfolgreichen Wiederinbetriebnahme und der Außerkraftsetzung des Plans. Die Bestätigung umfasst drei benannte Prüfungen.

Paralleler Betrieb: Das System läuft an zwei Orten gleichzeitig, bis ein ausreichendes Maß an Sicherheit besteht, dass die wiederhergestellte Seite korrekt arbeitet.
Prüfung der Daten: Belegen, dass Dateien und Datenbanken vollständig wiederhergestellt und auf dem Stand der letzten verfügbaren Sicherung sind.
Prüfung der Funktionen: Belegen, dass die Funktionalität geprüft wurde und das System für den Normalbetrieb bereit ist.
Die Erklärung: Erst danach wird erklärt, dass die Wiederinbetriebnahme abgeschlossen ist und das System normal arbeitet — festgehalten in einem Protokoll.

Der parallele Betrieb ist dabei die Zeile mit dem größten Nutzen und dem größten Aufwand: Er erlaubt es, die wiederhergestellte Seite unter echter Last zu beobachten, ohne den alten Zustand aufzugeben — und er verdoppelt für seine Dauer die Betriebslast. Wo er nicht möglich ist, tritt an seine Stelle eine engere fachliche Abnahme und eine Rückfallmöglichkeit, die bis zur Erklärung erhalten bleibt.

Was die Außerkraftsetzung praktisch bedeutetSie ist mehr als eine Mitteilung. Ausnahmeregelungen laufen aus, Notfallzugänge werden geschlossen und ihre Zugangsdaten gewechselt, Ersatzverfahren werden beendet und ihre Daten abgeglichen, offene Punkte bekommen Eigentümer und Termine im Normalbetrieb. Wer nur „die Lage ist beendet“ verschickt, lässt genau diese vier Aufräumarbeiten liegen — und findet sie Monate später als offene Berechtigungen, laufende Ersatzsysteme und unabgeglichene Daten wieder.

Abgrenzung

Hier geht es um die Führung einer Lage, in der viele Dienste gleichzeitig betroffen sind. Der technische Wiederanlauf einzelner Workloads steht im vorigen Modul, die Besonderheiten nach einem Angriff im Modul über Cyber-Resilienz.

NachbartracksAllgemeine Störungsbearbeitung, Rufbereitschaft und Eskalationsstufen stehen in monitoring-incident-operations; Notbetrieb und Krisenkommunikation aus Sicht des IT-Betriebs in itsm-operations. Hier interessiert nur, was für eine Wiederherstellungslage dazukommt: das Ausrufen, die Wellen und die ausdrückliche Beendigung.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität2 Primärquellen · zuletzt geprüft: 2026-09-04